Referenz zu Microsoft Sentinel-Entitätstypen

Entitätstypen und Bezeichner

Die folgende Tabelle zeigt die Entitätstypen, die derzeit für die Zuordnung in Microsoft Sentinel verfügbar sind, und die Attribute, die als Bezeichner für jeden Entitätstyp verfügbar sind. Diese werden in der Dropdownliste Bezeichner im Abschnitt Entitätszuordnung des Analyseregel-Assistenten angezeigt.

Jeder der Bezeichner in der Spalte erforderliche Bezeichner ist mindestens erforderlich, um die zugehörige Entität zu identifizieren. Ein erforderlicher Bezeichner kann allein jedoch nicht ausreichen, um eine eindeutige Identifikation bereitzustellen. Umso mehr Bezeichner verwendet werden, desto größer ist die Wahrscheinlichkeit der eindeutigen Identifizierung. Sie können bis zu drei Bezeichner für eine einzelne Entitätszuordnung verwenden.

Um optimale Ergebnisse (garantiert eindeutige Identifizierung) zu gewährleisten, sollten Sie nach Möglichkeit Bezeichner aus der Spalte mit den stärksten Bezeichnern verwenden. Durch die Verwendung mehrerer starker Bezeichner wird die Korrelation zwischen starken Bezeichnern aus unterschiedlichen Datenquellen und Schemas ermöglicht. Dies ermöglicht es Microsoft Sentinel wiederum, umfassendere Einblicke für eine bestimmte Entität bereitzustellen.

Entitätstyp Bezeichner Erforderliche Bezeichner Stärkste Bezeichner
Benutzerkonto
(Konto)
Name
FullName
NTDomain
DnsDomain
UPNSuffix
Sid
AadTenantId
AadUserId
PUID
IsDomainJoined
DisplayName
ObjectGuid
FullName
Sid
Name
AadUserId
PUID
ObjectGuid
Name und NTDomain
Name und UPNSuffix
AADUserId
Sid
Host DnsDomain
NTDomain
HostName
FullName
NetBiosName
AzureID
OMSAgentID
OSFamily
OSVersion
IsDomainJoined
FullName
HostName
NetBiosName
AzureID
OMSAgentID
HostName und NTDomain
HostName und DnsDomain
NetBiosName und NTDomain
NetBiosName und DnsDomain
AzureID
OMSAgentID
IP address (IP-Adresse)
(IP)
Adresse Adresse
Malware Name
Category
Name
Datei Verzeichnis
Name
Name
Prozess ProcessId
CommandLine
ElevationToken
CreationTimeUtc
CommandLine
ProcessId
Cloudanwendung
(CloudApplication)
AppId
Name
InstanceName
AppId
Name
Domänenname
(DNS)
DomainName DomainName
Azure-Ressource ResourceId ResourceId
Dateihash
(FileHash)
Algorithmus
Wert
Algorithmus und Wert
Registrierungsschlüssel Hive
Schlüssel
Hive
Schlüssel
Hive und Schlüssel
Registrierungswert Name
Wert
ValueType
Name
Sicherheitsgruppe DistinguishedName
SID
ObjectGuid
DistinguishedName
SID
ObjectGuid
URL url url
IoT-Gerät IoTHub
deviceId
DeviceName
IoTSecurityAgentId
DeviceType
`Source`
SourceRef
Hersteller
Modellieren
OperatingSystem
IpAddress
MacAddress
Protokolle
SerialNumber
IoTHub
deviceId
IoTHub und DeviceId
Mailbox MailboxPrimaryAddress
DisplayName
Upn
ExternalDirectoryObjectId
RiskLevel
MailboxPrimaryAddress
E-Mail-Cluster NetworkMessageIds
CountByDeliveryStatus
CountByThreatType
CountByProtectionStatus
Bedrohungen
Abfrage
QueryTime
MailCount
IsVolumeAnomaly
`Source`
ClusterSourceIdentifier
ClusterSourceType
ClusterQueryStartTime
ClusterQueryEndTime
ClusterGroup
Abfrage
`Source`
Abfrage und Quelle
E-Mail Recipient
URLs
Bedrohungen
Sender
P1Sender
P1SenderDisplayName
P1SenderDomain
SenderIP
P2Sender
P2SenderDisplayName
P2SenderDomain
ReceivedDate
NetworkMessageId
InternetMessageId
Subject
BodyFingerprintBin1
BodyFingerprintBin2
BodyFingerprintBin3
BodyFingerprintBin4
BodyFingerprintBin5
AntispamDirection
DeliveryAction
DeliveryLocation
Sprache
ThreatDetectionMethods
NetworkMessageId
Recipient
NetworkMessageId und Empfänger
Übermittlungs-E-Mail SubmissionId
SubmissionDate
Absender
NetworkMessageId
Timestamp
Recipient
Sender
SenderIp
Subject
ReportType
SubmissionId
NetworkMessageId
Recipient
Absender
Sentinel-Entitäten Entitäten Entitäten

Entitätstypschemas

Im Folgenden finden Sie eine ausführlichere Beschreibung der vollständigen Schemas für jeden Entitätstyp. Sie werden feststellen, dass viele dieser Schemas Links zu anderen Entitätstypen enthalten, z. B. enthält das Benutzerkontoschema einen Link zum Host-Entitätstyp, da ein Attribut eines Benutzerkontos der Host ist, für den es definiert ist. Diese extern verknüpften Entitäten können nicht als Bezeichner für die Entitätszuordnung verwendet werden, sie sind jedoch sehr nützlich, um ein umfassendes Bild von Entitäten auf Entitätsseiten und im Untersuchungsdiagramm zu erhalten.

Hinweis

Ein Fragezeichen, das auf den Wert in der Spalte Type folgt, gibt an, dass das Feld NULL-Werte zulässt.

Benutzerkonto

Entitätsname: Account

Feld type BESCHREIBUNG
type String ‘account’
Name String Der Kontoname. Dieses Feld sollte nur den Namen enthalten, ohne dass eine Domäne hinzugefügt wird.
FullName N/V Kein Teil des Schemas, aus Gründen der Abwärtskompatibilität mit der alten Version der Entitätszuordnung enthalten.
NTDomain Zeichenfolge Der NETBIOS-Domänenname, wie er im Warnungsformat angezeigt wird (domain\username). Beispiele: Finance, NT AUTHORITY
DnsDomain Zeichenfolge Der vollqualifizierte DNS-Domänenname. Beispiele: finance.contoso.com
UPNSuffix Zeichenfolge Das Suffix des Benutzerprinzipalnamens für das Konto. In einigen Fällen handelt es sich hierbei auch um den Domänennamen. Beispiele: contoso.com
Host Entität Der Host, der das Konto enthält, wenn es sich um ein lokales Konto handelt.
Sid Zeichenfolge Die Kontosicherheitsbezeichner, z. B. S-1-5-18.
AadTenantId Guid? Die Azure AD-Mandanten-ID, wenn bekannt.
AadUserId Guid? Die Azure AD-Kontoobjekt-ID, wenn bekannt.
PUID Guid? Die Azure AD-Passport-Benutzer-ID, wenn bekannt.
IsDomainJoined Bool? Bestimmt, ob es sich um ein Domänenkonto handelt.
DisplayName Zeichenfolge Der Anzeigename des Kontos.
ObjectGuid Guid? Das objectGUID-Attribut ist ein Einzelwertattribut, bei dem es sich um den eindeutigen Bezeichner für das Objekt handelt, der durch Active Directory zugewiesen wird.

Starke Bezeichner einer Kontoentität:

  • Name und UPNSuffix
  • AadUserId
  • Sid und Host (erforderlich für SIDs von integrierten Konten)
  • Sid (ausgenommen SIDs von integrierten Konten)
  • Name und NTDomäne (außer wenn NTDomain eine integrierte Domäne ist, z. B. „Workgroup“)
  • Name und Host (wenn NTDomain eine integrierte Domäne ist, z. B. „Workgroup“)
  • Name und DnsDomain
  • PUID
  • ObjectGuid

Schwache Bezeichner einer Kontoentität:

  • Name

Host

Feld type BESCHREIBUNG
type String ‘host’
DnsDomain Zeichenfolge Die DNS-Domäne, zu der dieser Host gehört. Sollte das vollständige DNS-Suffix für die Domäne enthalten, sofern bekannt.
NTDomain Zeichenfolge Die DNS-Domäne, zu der dieser Host gehört.
HostName Zeichenfolge Der Hostname ohne das Domänensuffix.
FullName N/V Kein Teil des Schemas, aus Gründen der Abwärtskompatibilität mit der alten Version der Entitätszuordnung enthalten.
NetBiosName Zeichenfolge Der Hostname (vor Windows 2000).
IoTDevice Entität Die IoT-Geräteentität (wenn dieser Host ein IoT-Gerät darstellt).
AzureID Zeichenfolge Die Azure-Ressourcen-ID der VM, falls bekannt.
OMSAgentID Zeichenfolge Die OMS-Agent-ID, wenn der OMS-Agent auf dem Host installiert ist.
OSFamily Enum? Einer der folgenden Werte:
  • Linux
  • Windows
  • Android
  • IOS
  • OSVersion Zeichenfolge Eine Freitextdarstellung des Betriebssystems.
    Dieses Feld soll bestimmte Versionen enthalten, die präziser als OSFamily sind, oder zukünftige Werte, die von der OSFamily-Enumeration nicht unterstützt werden.
    IsDomainJoined Bool Bestimmt, ob dieser Host zu einer Domäne gehört.

    Starke Bezeichner einer Hostentität:

    • HostName und NTDomain
    • HostName und DnsDomain
    • NetBiosName und NTDomain
    • NetBiosName und DnsDomain
    • AzureID
    • OMSAgentID
    • IoTDevice (wird für Entitätszuordnung nicht unterstützt)

    Schwache Bezeichner einer Hostentität:

    • HostName
    • NetBiosName

    IP address (IP-Adresse)

    Entitätsname: IP

    Feld type BESCHREIBUNG
    type String ‘ip’
    Adresse Zeichenfolge Die IP-Adresse als Zeichenfolge, z. B. 127.0.0.1 (in IPv4 oder IPv6).
    Location GeoLocation Der an die IP-Entität angefügte Geostandortkontext.

    Weitere Informationen finden Sie unter Anreichern von Entitäten in Microsoft Sentinel mit Geolocationdaten über die REST-API (öffentliche Vorschau).

    Starke Bezeichner einer IP-Entität:

    • Adresse

    Malware

    Feld type BESCHREIBUNG
    type String ‘malware’
    Name String Der Name der Schadsoftware vom Hersteller, z. B Win32/Toga!rfn.
    Category String Die Schadsoftwarekategorie vom Hersteller, z. B. Trojaner.
    Dateien List<Entity> Liste der verknüpften Dateientitäten, für die die Schadsoftware gefunden wurde. Kann die Dateientitäten inline oder als Verweis enthalten.
    Weitere Details zur Struktur finden Sie in der File-Entität.
    Prozesse List<Entity> Liste der verknüpften Prozessentitäten, für die die Schadsoftware gefunden wurde. Dies wird häufig verwendet, wenn die Warnung bei einer dateilosen Aktivität ausgelöst wird.
    Weitere Details zur Struktur finden Sie in der Process-Entität.

    Starke Bezeichner einer Malwareentität:

    • Name und Kategorie

    Datei

    Feld type BESCHREIBUNG
    type String ‘file’
    Verzeichnis Zeichenfolge Der vollständige Pfad zur Datei.
    Name String Der Dateiname ohne den Pfad (einige Warnungen enthalten möglicherweise keinen Pfad).
    Host Entität Der Host, auf dem die Datei gespeichert wurde.
    FileHashes List<Entity> Die Dateihashes, die dieser Datei zugeordnet sind.

    Starke Bezeichner einer Dateientität:

    • Name und Verzeichnis
    • Name und FileHash
    • Name und Verzeichnis und FileHash

    Prozess

    Feld type BESCHREIBUNG
    type String ‘process’
    ProcessId Zeichenfolge Die Prozess-ID.
    CommandLine Zeichenfolge Die Befehlszeile, die zum Erstellen des Prozesses verwendet wird.
    ElevationToken Enum? Das dem Prozess zugeordnete Erhöhungstoken.
    Mögliche Werte:
  • TokenElevationTypeDefault
  • TokenElevationTypeFull
  • TokenElevationTypeLimited
  • CreationTimeUtc DateTime? Die Zeit, zu der die Ausführung des Prozesses gestartet wurde.
    ImageFile Entität (Datei) Kann die Dateientität inline oder als Verweis enthalten.
    Weitere Details zur Struktur finden Sie in der File-Entität.
    Konto Entität Das Konto, mit dem die Prozesse ausgeführt werden.
    Kann die Account-Entität inline oder als Verweis enthalten.
    Weitere Details zur Struktur finden Sie in der Account-Entität.
    ParentProcess Entität (Prozess) Die übergeordnete Prozessentität.
    Kann partielle Daten enthalten, d. h. nur die PID.
    Host Entität Der Host, auf dem der Prozess ausgeführt wurde.
    LogonSession Entität (HostLogonSession) Die Sitzung, in der der Prozess ausgeführt wurde.

    Starke Bezeichner einer Prozessentität:

    • Host und ProcessID und CreationTimeUtc
    • Host und ParentProcessId und CreationTimeUtc und CommandLine
    • Host und ProcessId und CreationTimeUtc und ImageFile
    • Host und ProcessId und CreationTimeUtc und ImageFile.FileHash

    Schwache Bezeichner einer Prozessentität:

    • ProcessID und CreationTimeUtc und CommandLine (und kein Host)
    • ProcessID und CreationTimeUtc und ImageFile (und kein Host)

    Cloudanwendung

    Entitätsname: CloudApplication

    Feld type BESCHREIBUNG
    type String ‘cloud-application’
    AppId Int Der technische Bezeichner der Anwendung. Dies sollte einer der Werte sein, die in der Liste der Cloudanwendungsbezeichner definiert sind. Der Wert für das AppId-Feld ist optional.
    Name String Der Name der verwandten Cloudanwendung. Der Wert für den Anwendungsnamen ist optional.
    InstanceName Zeichenfolge Der benutzerdefinierte Instanzname der Cloudanwendung. Er wird häufig verwendet, um zwischen verschiedenen Anwendungen desselben Typs zu unterscheiden, die ein Kunde verwendet.

    Starke Bezeichner einer Cloudanwendungsentität:

    • AppId (ohne InstanceName)
    • Name (ohne InstanceName)
    • AppId und InstanceName
    • Name und InstanceName

    Domänenname

    Entitätsname: DNS

    Feld type BESCHREIBUNG
    type String ‘dns’
    DomainName Zeichenfolge Der Name des DNS-Eintrags, der der Warnung zugeordnet ist.
    IpAddress List<Entity (IP)> Entitäten, die den aufgelösten IP-Adressen entsprechen.
    DnsServerIp Entity (IP) Eine Entität, die den DNS-Server darstellt, der die Anforderung auflöst.
    HostIpAddress Entity (IP) Eine Entität, die den DNS-Anforderungsclient darstellt.

    Starke Bezeichner einer DNS-Entität:

    • DomainName und DnsServerIp und HostIpAddress

    Schwache Bezeichner einer DNS-Entität:

    • DomainName und HostIpAddress

    Azure-Ressource

    Feld type BESCHREIBUNG
    type String 'azure-resource'
    resourceId String Die Azure-Ressourcen-ID der Ressource.
    SubscriptionId Zeichenfolge Die Abonnement-ID der Ressource.
    TryGetResourceGroup Bool Der Ressourcengruppenwert, falls vorhanden.
    TryGetProvider Bool Der Anbieterwert, falls vorhanden.
    TryGetName Bool Der Namenwert, falls vorhanden.

    Starke Bezeichner einer Azure-Ressourcenentität:

    • ResourceId

    Dateihash

    Entitätsname: FileHash

    Feld type BESCHREIBUNG
    type String 'filehash'
    Algorithmus Enumeration Der Hashalgorithmustyp. Mögliche Werte:
  • Unbekannt
  • MD5
  • SHA1
  • SHA256
  • SHA256AC
  • Wert Zeichenfolge Der Hashwert.

    Starke Bezeichner einer Dateihashentität:

    • Algorithmus und Wert

    Registrierungsschlüssel

    Entitätsname: RegistryKey

    Feld type BESCHREIBUNG
    type String ‘registry-key’
    Hive Enum? Einer der folgenden Werte:
  • HKEY_LOCAL_MACHINE
  • HKEY_CLASSES_ROOT
  • HKEY_CURRENT_CONFIG
  • HKEY_USERS
  • HKEY_CURRENT_USER_LOCAL_SETTINGS
  • HKEY_PERFORMANCE_DATA
  • HKEY_PERFORMANCE_NLSTEXT
  • HKEY_PERFORMANCE_TEXT
  • HKEY_A
  • HKEY_CURRENT_USER
  • Schlüssel Zeichenfolge Der Registrierungsschlüsselpfad.

    Starke Bezeichner einer Registrierungsschlüsselentität:

    • Hive und Schlüssel

    Registrierungswert

    Entitätsname: RegistryValue

    Feld type BESCHREIBUNG
    type String ‘registry-value’
    Schlüssel Entität (RegistryKey) Die Registrierungsschlüsselentität.
    Name String Der Name des Registrierungswerts.
    Wert Zeichenfolge Als Zeichenfolge formatierte Darstellung der Wertdaten.
    ValueType Enum? Einer der folgenden Werte:
  • String
  • Binary
  • DWord
  • Qword
  • MultiString
  • ExpandString
  • Keine
  • Unbekannt
    Werte sollten der Microsoft. Win32.RegistryValueKind-Enumeration entsprechen.
  • Starke Bezeichner einer Registrierungswertentität:

    • Schlüssel und Name

    Schwache Bezeichner einer Registrierungswertentität:

    • Name (ohne Schlüssel)

    Sicherheitsgruppe

    Entitätsname: SecurityGroup

    Feld type BESCHREIBUNG
    type String 'security-group'
    DistinguishedName Zeichenfolge Der Distinguished Name (DN) der Gruppe.
    SID Zeichenfolge Das SID-Attribut ist ein Einzelwertattribut, das die Sicherheits-ID (SID) der Gruppe angibt.
    ObjectGuid Guid? Das objectGUID-Attribut ist ein Einzelwertattribut, bei dem es sich um den eindeutigen Bezeichner für das Objekt handelt, der durch Active Directory zugewiesen wird.

    Starke Bezeichner einer Sicherheitsgruppenentität:

    • DistinguishedName
    • SID
    • ObjectGuid

    URL

    Feld type BESCHREIBUNG
    type String 'url'
    url Uri Eine vollständige URL, auf die die Entität verweist.

    Starke Bezeichner einer URL-Entität:

    • URL (wenn absolute URL)

    Schwache Bezeichner einer URL-Entität:

    • URL (wenn relative URL)

    IoT-Gerät

    Entitätsname: IoTDevice

    Feld type BESCHREIBUNG
    type String 'iotdevice'
    IoTHub Entität (AzureResource) Die AzureResource-Entität, die den IoT Hub darstellt, zu dem das Gerät gehört.
    deviceId Zeichenfolge Die ID des Geräts im Kontext des IoT Hub.
    DeviceName Zeichenfolge Der Anzeigename des Geräts.
    IoTSecurityAgentId Guid? Die ID des Defender für IoT-Agents, der auf dem Gerät ausgeführt wird.
    DeviceType Zeichenfolge Der Typ des Geräts („Temperatursensor“, „Kühlung“, „Windrad“ usw.).
    `Source` String Die Quelle (Microsoft/Hersteller) der Geräteentität.
    SourceRef Entität (URL) Ein URL-Verweis auf das Quellelement, in dem das Gerät verwaltet wird.
    Hersteller Zeichenfolge Der Hersteller des Geräts.
    Modellieren Zeichenfolge Das Gerätemodell.
    OperatingSystem Zeichenfolge Das Betriebssystem, das das Gerät ausführt.
    IpAddress Entity (IP) Die aktuelle IP-Adresse des Geräts.
    MacAddress Zeichenfolge Die MAC-Adresse des Geräts.
    Protokolle List<String> Eine Liste der Protokolle, die vom Gerät unterstützt werden.
    SerialNumber Zeichenfolge Die Seriennummer des Geräts.

    Starke Bezeichner einer IoT-Geräteentität:

    • IoTHub und DeviceId

    Schwache Bezeichner einer IoT-Geräteentität:

    • DeviceId -ID (ohne IoTHub)

    Mailbox

    Feld type BESCHREIBUNG
    type String 'mailbox'
    MailboxPrimaryAddress Zeichenfolge Die primäre Adresse des Postfachs.
    DisplayName Zeichenfolge Der Anzeigename des Postfachs.
    Upn Zeichenfolge Der UPN des Postfachs.
    RiskLevel Enum? Die Risikostufe dieses Postfachs. Mögliche Werte:
  • Keine
  • Niedrig
  • Medium
  • High
  • ExternalDirectoryObjectId Guid? Der AzureAD-Bezeichner des Postfachs. Ähnlich wie AadUserId in der Account-Entität. Diese Eigenschaft ist jedoch für das Postfachobjekt auf der Office-Seite spezifisch.

    Starke Bezeichner einer Postfachentität:

    • MailboxPrimaryAddress

    E-Mail-Cluster

    Entitätsname: MailCluster

    Hinweis

    Microsoft Defender für Office 365 wurde früher als Office 365 Advanced Threat Protection (O365 ATP) bezeichnet.

    Feld type BESCHREIBUNG
    type String 'mail-cluster'
    NetworkMessageIds IList<String> Die E-Mail-Nachrichten-IDs, die Teil des Nachrichtenclusters sind.
    CountByDeliveryStatus IDictionary<String,Int> Anzahl von E-Mail-Nachrichten nach DeliveryStatus-Zeichenfolgendarstellung.
    CountByThreatType IDictionary<String,Int> Anzahl von E-Mail-Nachrichten nach ThreatType-Zeichenfolgendarstellung.
    CountByProtectionStatus IDictionary<String,long> Anzahl von E-Mail-Nachrichten nach Bedrohungsschutzstatus.
    Bedrohungen IList<String> Die Bedrohungen von E-Mail-Nachrichten, die Teil des Nachrichtenclusters sind.
    Abfrage Zeichenfolge Die Abfrage, mit der die Nachrichten des Nachrichtenclusters identifiziert wurden.
    QueryTime DateTime? Die Abfragezeit.
    MailCount Int? Die Anzahl der E-Mail-Nachrichten, die Teil des Nachrichtenclusters sind.
    IsVolumeAnomaly Bool? Bestimmt, ob es sich um einen Volumenanomalie-Nachrichtencluster handelt.
    `Source` String Die Quelle des Nachrichtenclusters (Standardwert ist „O365 ATP“).
    ClusterSourceIdentifier Zeichenfolge Die Netzwerknachrichten-ID der E-Mail, die die Quelle dieses Nachrichtenclusters ist.
    ClusterSourceType Zeichenfolge Der Quelltyp des Nachrichtenclusters. Dieser wird der MailClusterSourceType-Einstellung von Microsoft Defender für Office 365 zugeordnet (siehe Hinweis oben).
    ClusterQueryStartTime DateTime? Startzeit des Clusters: wird als Startzeit für die Abfrage der Clusteranzahl verwendet. Datiert in der Regel auf der Endzeit minus der DaysToLookBack-Einstellung aus Microsoft Defender für Office 365 (siehe Hinweis oben).
    ClusterQueryEndTime DateTime? Endzeit des Clusters: wird als Endzeit für die Abfrage der Clusteranzahl verwendet. Normalerweise die Empfangszeit der Daten der E-Mail.
    ClusterGroup Zeichenfolge Entspricht dem Kusto-Abfrageschlüssel, der von Microsoft Defender für Office 365 verwendet wird (siehe Hinweis oben).

    Starke Bezeichner einer Nachrichtencluster Entität:

    • Abfrage und Quelle

    E-Mail

    Entitätsname: MailMessage

    Feld type BESCHREIBUNG
    type String 'mail-message'
    Dateien IList<File> Die Dateientitäten der Anlagen dieser E-Mail-Nachricht.
    Recipient Zeichenfolge Der Empfänger dieser E-Mail-Nachricht. Im Fall mehrerer Empfänger wird die E-Mail-Nachricht kopiert, und jede Kopie weist einen Empfänger auf.
    URLs IList<String> Die in dieser E-Mail-Nachricht enthaltenen URLs.
    Bedrohungen IList<String> Die in dieser E-Mail-Nachricht enthaltenen Bedrohungen.
    Sender Zeichenfolge Die E-Mail-Adresse des Absenders.
    P1Sender Zeichenfolge E-Mail-ID des (delegierten) Benutzers, der diese E-Mail „im Auftrag von P2 (primärer Benutzer)“ gesendet hat. Wenn die E-Mail nicht vom Delegaten gesendet wird, entspricht dieser Wert P2Sender.
    P1SenderDisplayName Zeichenfolge Anzeigename des (delegierten) Benutzers, der diese E-Mail „im Auftrag von P2 (primärer Benutzer)“ gesendet hat. Wird im E-Mail-Header durch die OnbehalfofSenderDisplayName-Eigenschaft dargestellt.
    P1SenderDomain Zeichenfolge E-Mail-Domäne des (delegierten) Benutzers, der diese E-Mail „im Auftrag von P2 (primärer Benutzer)“ gesendet hat. Wenn die E-Mail nicht vom Delegaten gesendet wird, entspricht dieser Wert P2SenderDomain.
    P2Sender Zeichenfolge E-Mail des (primären) Benutzers, in dessen Auftrag diese E-Mail gesendet wurde.
    P2SenderDisplayName Zeichenfolge Anzeigename des (primären) Benutzers, in dessen Auftrag diese E-Mail gesendet wurde. Wenn die E-Mail nicht vom Delegaten gesendet wird, stellt dies den Anzeigenamen des Absenders dar.
    P2SenderDomain Zeichenfolge E-Mail-Domäne des (primären) Benutzers, in dessen Auftrag diese E-Mail gesendet wurde. Wenn die E-Mail nicht vom Delegaten gesendet wird, stellt dies die Domäne des Absenders dar.
    SenderIP Zeichenfolge Die IP-Adresse des Absenders.
    ReceivedDate Datetime Das Empfangsdatum dieser Nachricht.
    NetworkMessageId Guid? Die Netzwerknachrichten-ID dieser E-Mail-Nachricht.
    InternetMessageId Zeichenfolge Die Internetnachrichten-ID dieser E-Mail-Nachricht.
    Subject Zeichenfolge Der Betreff dieser E-Mail-Nachricht.
    BodyFingerprintBin1
    BodyFingerprintBin2
    BodyFingerprintBin3
    BodyFingerprintBin4
    BodyFingerprintBin5
    UInt? Wird von Microsoft Defender für Office 365 verwendet, um übereinstimmende oder ähnliche E-Mail-Nachrichten zu ermitteln.
    AntispamDirection Enum? Die Direktionalität dieser E-Mail-Nachricht. Mögliche Werte:
  • Unbekannt
  • Eingehend
  • Ausgehend
  • Innerhalb der Organisation (intern)
  • DeliveryAction Enum? Die Übermittlungsaktion dieser E-Mail-Nachricht. Mögliche Werte:
  • Unbekannt
  • DeliveredAsSpam
  • Geliefert
  • Gesperrt
  • Ersetzt
  • DeliveryLocation Enum? Die Übermittlungsort dieser E-Mail-Nachricht. Mögliche Werte:
  • Unbekannt
  • Posteingang
  • JunkFolder
  • Deletedfolder
  • Quarantäne
  • Extern
  • Fehler
  • Dropped
  • Weitergeleitet
  • Sprache String Die Sprache, in der der Inhalt der E-Mail-Nachricht geschrieben wird.
    ThreatDetectionMethods IList<String> Die Liste der auf diese E-Mail angewendeten Methoden zur Bedrohungserkennung.

    Starke Bezeichner einer E-Mail-Nachrichtenentität:

    • NetworkMessageId und Empfänger

    Übermittlungs-E-Mail

    Entitätsname: SubmissionMail

    Feld type BESCHREIBUNG
    type String 'SubmissionMail'
    SubmissionId Guid? Die Übermittlungs-ID.
    SubmissionDate DateTime? Gemeldetes Datum und die Uhrzeit dieser Übermittlung.
    Absender Zeichenfolge Die E-Mail-Adresse des Übermittlers.
    NetworkMessageId Guid? Die Netzwerknachrichten-ID der E-Mail, zu der die Übermittlung gehört.
    Timestamp DateTime? Der Zeitstempel für den Nachrichtempfang (E-Mail).
    Recipient Zeichenfolge Der Empfänger der E-Mail.
    Sender Zeichenfolge Der Absender der E-Mail.
    SenderIp Zeichenfolge Die IP-Adresse des Absenders.
    Subject Zeichenfolge Der Betreff der Übermittlungs-E-Mail.
    ReportType Zeichenfolge Der Übermittlungstyp für die angegebene Instanz. Dies wird Junk, Phish, Malware oder NotJunk zugeordnet.

    Starke Bezeichner einer SubmissionMail-Entität:

    • SubmissionId, Submitter, NetworkMessageId, Recipient

    Sentinel-Entitäten

    Feld type BESCHREIBUNG
    Entitäten String Eine Liste der in der Warnung identifizierten Entitäten. Diese Liste ist die Spalte Entitäten aus dem SecurityAlert-Schema (siehe Dokumentation).

    Cloudanwendungsbezeichner

    In der folgenden Liste werden Bezeichner für bekannte Cloudanwendungen definiert. Der App-ID-Wert wird als Entitätsbezeichner für die Cloudanwendung verwendet.

    App-ID Name
    10026 DocuSign
    10395 Anaplan
    10489 Feld
    10549 Cisco Webex
    10618 Atlassian
    10915 cornerstone ondemand
    10921 Zendesk
    10980 Okta
    11042 Jive Software
    11114 Salesforce
    11161 Office 365
    11162 Microsoft OneNote Online
    11394 Microsoft Online Services
    11522 Yammer
    11599 Amazon Web Services
    11627 Dropbox
    11713 Expensify
    11770 G Suite
    12005 SuccessFactors
    12260 Microsoft Azure
    12275 Workday
    13843 LivePerson
    13979 Concur
    14509 ServiceNow
    15570 Tableau
    15600 Microsoft OneDrive for Business
    15782 Citrix ShareFile
    17152 Amazon
    17865 Ariba Inc
    18432 Zscaler
    19688 Xactly
    20595 Microsoft Defender für Cloud-Apps
    20892 Microsoft SharePoint Online
    20893 Microsoft Exchange Online
    20940 Active Directory
    20941 Adallom CPanel
    22110 Google Cloud Platform
    22930 Gmail
    23004 Autodesk Fusion Lifecycle
    23043 Slack
    23233 Microsoft Office Online
    25275 Microsoft Skype for Business
    25988 Google Docs
    26055 Microsoft 365 Admin Center
    26060 OPSWAT Gears
    26061 Microsoft Word Online
    26062 Microsoft PowerPoint Online
    26063 Microsoft Excel Online
    26069 Google Drive
    26206 Workiva
    26311 Microsoft Dynamics 365
    26318 Microsoft Azure AD
    26320 Microsoft Office Sway
    26321 Microsoft Delve
    26324 Microsoft Power BI
    27548 Microsoft Forms
    27592 Microsoft Flow
    27593 Microsoft PowerApps
    28353 Workplace by Facebook
    28373 CAS Proxy Emulator
    28375 Microsoft Teams
    32780 Microsoft Dynamics 365
    33626 Google
    34127 Microsoft AppSource
    34667 HighQ
    35395 Microsoft Dynamics Talent

    Nächste Schritte

    In diesem Dokument haben Sie die Entitätsstruktur, Bezeichner und das Schema in Microsoft Sentinel kennengelernt.

    Informieren Sie sich über Entitäten und die Entitätszuordnung.